안녕하세요.
다름 아니라 아래 내용으로 네트워크 구성을 하였는데, 통신이 잘 되지 않아서 문의드립니다.
리눅스 서버이며, 서버 1에서 서버 2로 VPN 통한 telnet은 가능한데,
서버 2에서 서버1로의 VPN 통한 telnet이 안되는 상황입니다.
1. 방화벽 / selinux 등 모든 보안 프로그램 종료된 상태입니다.
2. route add -net / -host 로 라우팅 한 상태입니다.
route add -host 210.123.12.200 netmask 255.255.255.0 gw 172.16.20.1 dev nic2
route add -net 210.123.12.210 netmask 255.255.255.255 dev nic2
210.123.12.200은 서버1 -> 서버2의 VPN 접속용 IP이며,
210.123.12.210은 서버2 -> 서버1의 VPN 접속용 IP입니다..
상기 내용으로 라우팅 한 후,
서버1에서 telnet 210.123.12.200 2580 으로 정상 접속이 되나,
서버2에서 telnet 210.123.12.210 250 으로는 접속이 되지 않습니다.
서버에는 물론 서비스 데몬 올라가 있어서 localhost로 텔넷은 정상 접속됩니다.
route add를 잘못한 것일까요??
아니면,,, 둘중 하나의 ifcfg 파일에 gatewaydev 를 지정해 주어야 할까요..ㅠ
먼저,
확인할 사항이 있습니다.
서버1의 NIC2가 210.123.12.210이며,
서버2의 NIC는 210.123.12.200이고,
172.16.20.0/24/1은 VPN장비에서 정의한 네트워크입니까?
실제로 서버2에서 서버 1으로 접속할때는 210.123.12.210에 2580포트로 접속하고
서버1에서 서버 2로 접속할때는 210.123.12.200에 2580포트로 접속합니다.
하나만 더 확인하겠습니다.
210.123.12.200과 210.123.12.210의 서브넷마스크와 게이트웨이 아이피를 알려 주십시오.
대게 server와 client 또는 site to site입니다.
위 구성은 server와 client입니다.
VPN장비가 VPN 서버입니다.
서버1과 2는 VPN 클라이언트로 붙어야 하고요.
1과 2가 클라이언트로 접속된 이후부터는 VPN장비가 정의한 대역에 한해서는 별도 라우팅이 필요없습니다.
1에서 2로 접근할 때 아이피는 그냥 172.16.20.100가 됩니다.
만약, 210.123.12.200과 210.123.12.210가 서브넷으로 갈라진 별도 네트워크라면 이 둘 사이의 라우팅 여부이지 이 아이피들로 접근은 VPN과 무관합니다.
동일 네트워크라도(라우팅 작성은 필요없겠지만) 마찬가지입니다.
우리쪽에서 상대측에 접속할때 210.123.12.210으로 접속합니다.
VPN 장비가 서버이니 gw는 VPN 장비인 172.16.20.1입니다.
우리쪽에서 VPN 172.16.20.1으로 ping 잘 나가고
route add 후에는
traceroute 210.123.12.210 했을대
172.16.20.1 로 지나가는것도 확인이 됩니다.
그러나,,
상대측에서 계속 우리쪽으로 telnet이 안된다고 우기고 있고
vpn 장비도 상대측에서만 컨트롤이 가능한 상태이며, 초기 세팅 역시 상대측에서 한것입니다.
route add net / host 어떤것을 해도 동일하며,
안되는 이유를 확인해볼 방법이 없어 답답하네요..
우선, VPN이 장비대 장비로 외부에 있는 기기와 연결된 경우로 추정됩니다.
이 때 쓰인 아이피가 210.123.12.200과 210.123.12.210이었을 것이구요.
아마, 스위치에 들어가 있을 거라고 봅니다.
그리고 이쪽이 172.16.20.0/24/1이니 저쪽은 다른 대역이겠지요.
예를 들어서 172.16.19.0/24/1 처럼 말입니다.
장비에서의 설정과 연결이 정상이라면 양쪽 대역간 172.16.19.xxx, 172.16.20.xxx 아이피들은 서로 통신할 수 있습니다.
적절한 라우팅으로 입니다.
문제는 192.168.0.10 컴퓨터가 2서버에 접근할 수 있도록 하는거 겠지요.
이때는,
컴퓨터가 172.16.20.100을 모르고 있으니 라우팅을 서버1-NIC1의 IP 주소로 잡아 줍니다.
서버2가 192.168.0.10을 알지 못하니 라우팅을 서버1-NIC2의 IP 주소로 잡습니다.
컴퓨터가 상대쪽 2서버(예, 172.16.19.100)와 통신해야 될 경우도 있을 것입니다.
역시,
172.16.19.100을 모르고 있으니 라우팅을 서버1-NIC1의 IP 주소로 설정합니다.
1서버에서는 이 주소의 라우팅을 VPN GW로 잡습니다.
상대 2서버에서는 192.168.0.10의 라우팅을 자기 VPN GW로 설정합니다.
이런식입니다.
1. VPN 장비 라우팅 추가 : 192.168.0.0/24 게이트웨이 172.16.20.80 영구
2. 서버1 : 윈도우 서버라면 RRAS 라우팅 서비스를 살려줘야 합니다.
3. 서버1 : 172.16.20.0/24 게이트웨이 172.16.20.1 영구 추가
4. 게이트웨이(192.168.0.1) 단 : 172.16.20.0/24 192.168.0.100 을 추가해줘야 하는데 그러면 서버1 NIC에서 게이트웨이를 제거 해줘야 하는 문제 발생.
5. 4번을 무시하고 차라리 192.168.0.10 한대라면 그 PC에서 172.16.20.0/24 를 GW 192.168.0.100 라우팅 영구추가 하는게 나아보임.
6. 서버 NIC 기본 게이트웨이를 삭제해야됩니다. 이유는 라우팅 우선순위가 꼬이고 안먹혀요. 고정경로 라우팅을 사용해야 문제가 생기지 않습니다.
외부 DMZ IP는 라우팅과 상관없으니 삭제.(지점과 지점 연결할 포인트 IP 일거라는 판단에 사설 네트워크 액세스에는 전혀 무관)
위 설정만 해주면 172.16..200.100 에서 192.168.0.10 도착지로 핑도 될거고 도착지에서 원본으로 핑이나 네트워크도 될듯 보입니다.
저기에서 정말 심플하게 가고 싶다? 라고 한다면 VPN 장비가 192.168.0.0 인터페이스 IP를 갖고 있다면 서버1이 NIC 두개가 될 필요가 없습니다. 게이트웨이 단에서 172.16.20.0/24를 VPN이 갖고 있는 192.168.0.0 IP로 라우팅 하나만 걸어주면 아주 쉽게 끝납니다.
혹시 라우팅 추가가 아래 명령어 말씀하시는거 맞으실까요?
route add -host 210.123.12.200 netmask 255.255.255.0 gw 172.16.20.1 dev nic2
route add -net 210.123.12.210 netmask 255.255.255.255 dev nic2
위 명령어 후에
우리쪽에서 VPN 172.16.20.1으로 ping 잘 나가고
route add 후에는
traceroute 210.123.12.210 했을대
172.16.20.1 로 지나가는것도 확인이 됩니다.
telnet이 붙었다 안붙었다 하는걸로 보아, gw가 꼬인거같긴 합니다.
그래서 gatewaydev를 해야하는건지 여쭈어보았던거구요
그리고 한쪽단만 고정경로 서브넷만 라우팅 잡아주면 양방햔 세션이 맺어지게 되요. 아무리봐도 DMZ단을 거친다면 저건 라우팅이 아니라 NAT 같습니다. NAT로 걸면 양방향 다 핑은 잘됩니다.